HUIJAUSKIRJEITÄ TUOTTAVA KONE

Nyt on liikenteessä huijauskirjeiden tehtailuryöppy. Eri aiheisia ansakirjeitä lähetetään samoilta koneilta ja osoitteista. Kannattaa seurata lähetysosoitteita, joiden nimissä yleensä on Alankomaiden pääte (.nl). Myös skandiaakkosten "virheet" ovat usein tunnusmekkinä huijauskirjeestä. 
Tämä kampanja oletettavasti liittyy "kybersodankäyntiin" ja on erittäin haitallista sähköpostia.

Linkit viittavat yleensä aina samaan ansaosoitteeseen vietnamilaiselle koneelle. Konetunnus on linkissä jälleen kryptattuna mutta avoimena IP on: 103.82.38. 147   TUON KONEOSOITTEEN ON VIPER ILMOITTANUT VAARALLISEKSI Viper virustorjunta kertoo: "URL Score Malicious (100%)"

-------------------------------------KIRJE TXT MUODOSSA-------------------------------------

VASTAAVA KIRJE PELIANSANA

VASTAAVA ANSAKIRJE SAAPUI MYÖS "PELIANSANA".
ABUSEIPDP virustorjunta kertoo, että sekä lähettäjä, että linkkikone ovat vaarallisia.
(kone IP  20.61.126. 208) was found in our database!
This IP was reported 852 times. Confidence of Abuse is 100%: 

-------------------------------------KIRJE HTML MUODOSSA-------------------------------------

-------------------------SAMA KIRJE TXT MUODOSSA-------------------------

LAINAFIRMA JOKA ONKIN HUIJARI

Näitä "lainatarjouksia" satelee sähköpostitse runsaasti.
Kannattaa lähteä siitä, että ne kaikki ovat HUIJAUKSIA.
Kun rahan siirrosta tulee kysymys, huijari esiintyy luotettavana pankkiirina ja varastaa "lainatarjouslomakkeella" henkilö- ja pankkitietosi.

Kirjeen scandikirjainten virheet eivät kenties näy kakilla selaimilla ja laitteilla mutta ne kertovat osaamattoman henkilön rakentamasta huijausyrityksestä.

Tämän allaolevan kirjeen on lähettänyt huijariksi tunnistettu henkilö "Unolainan" nimissä. ABUSEIPDP virustorjunta kertoo että: "osoite löytyi tietokannastamme!  Tästä IP-osoitteesta (4.180.183. 242) on ilmoitettu 681 kertaa. Väärinkäytösten todennäköisyys on 100 %"

Kirje sisältää linkin, jonka esitekstin pitäisi varoittaa kaikkia: "Valitse edullisin vaihtoehto ja allekirjoita pankkitunnuksilla". Tällä kohtaa annat pankkitunnuksesi verkkorikollisen käyttöön.

---------------------------------KIRJE HTML MUODOSSA-------------------------------------

---------------------------------SAMA KIRJE TXT MUODOSSA-------------------------------------

Sama kirje saapui myös toiselta koneelta, jonka IP analyysi ABUSEIPDP virustorjunnan mukaan kertoi vastaavaa tarinaa: "X-Original-Sender: info@portfolio-manager .nl

Received: from portfolio-manager. nl (unknown [4.180.183. 241])

 4.180.183. 241 was found in our database!

This IP was reported 903 times. Confidence of Abuse is 100%: "

Suomeksi:

"X-Alkuperäinen lähettäjä: info@portfolio-manager .nl

Vastaanotettu: osoitteesta portfolio-manager. nl (tuntematon [4.180.183. 241])

Osoite 4.180.183. 241 löytyi tietokannastamme!

Tästä IP-osoitteesta on ilmoitettu 903 kertaa. Väärinkäytösten todennäköisyys on 100 %:"

Edelleen, sama kirje saapui kolmannelta koneelta:

X-Original-Sender: info@reneeheijmans. nl

Received: from reneeheijmans.nl (unknown [20.61.126. 211])

 20.61.126. 211 was found in our database!

This IP was reported 530 times. Confidence of Abuse is 100%:

Jokainen tämän kirjeen linkki vie samaan ansaosoitteeseen. Myös "peruuttaa tilauksen" -linkki on sama ansa. 

KLARNAN NIMISSÄ JÄLLEEN HUIJAUS

 ÄLKÄÄ KOSKAAN LUOTTAKO MINKÄÄN RAHALAITOKSEN KIRJEESSÄ OLEVIIN LINKKEIHIN! Tämänkin kirjeen linkki on todettu VAARALLISEKSI virustorjunta FalconSandboxin skannauksessa:
"Malicious domain detected. Details: CONTACTED DOMAIN: "dtdns. org" has been identified as malicious. Tämä linkki löytyi kirjeessä olevasta lyhennepalvelun kryptatusta osoitteesta "https://cutt. ly/fyrhpqtP".

Kirjeessä oli myös aitoja Klarnan osoitteita hämäyksen vuoksi.

---------------------------------------KIRJE----------------------------------------------

AIKAISEMPIA HUIJAUSYRITYKSIÄ KLARNAN NIMISSÄ

https://vaarallinenweb.blogspot.com/2026/07/tama-kirje-ei-tule-klarnasta.html

https://vaarallinenweb.blogspot.com/2025/09/vaihdevuoset-painonnousu.html

https://vaarallinenweb.blogspot.com/2025/09/maailman-paras-ai-kaantaja.html

KLARNAN NIMISSÄ PUHELIMELLA SOITETUISTA HUIJAUKSISTA KERTOO ILTASANOMAT:

https://www.is.fi/digitoday/tietoturva/art-2000012074391.html

 

VAARALLINEN KUVA?

Kuten jo aikaisemmin olen kirjoittanut "JPG" tai "PNG" kuva ei voi sisältää virusta MUTTA se voi sisältää vaarallisen linkin. Linkki ei välttämättä laukea kuvan latautuessa, mutta kannattaa olla klikkailematta liitteitä tämänkaltaisissa epämääräisissä kirjeissä. 

Kuvatiedoston voi nimetä muotoon "kuva.jpg.exe", jolloin useimpien käyttäjien Windows-kansiossa näkyy "kuva.jpg." Tiedoston avaaminen johtaa ohjelman suoritukseen, joka taas saattaa johtaa viruksen asentamiseen koneellesi.

Kirje on, sitäpaitsi, saapunut vieraan henkilön nimellä. Kyseessä on sähköpostilista.

Aurikolasit kannattaa ostaa ihan muualta, kuin tästä "hotellista".

-------------------------------------KIRJE------------------------------------

SE VAARALLINEN RIKOLLINEN ON TÄMÄN KIRJEEN LÄHETTÄJÄ

Näitä poliisin nimissä saapuvia pelottelukirjeitä tulee silloin tällöin.
Katsokaa mistä osoitteesta kirjeet on lähetetty (nafilmu.cz on verkkorikollisen käyttämä tsekkiälinen osoite).

Jos haluat selvittää asioitasi poliisin kanssa, ota poliisiin yhteyttä osoitteella "poliisi.fi".
Poliisi ei käytä myöskään esim. "outlook" ilmaisosoitetta.

Tämän kirjeen liitteenä on PDF tiedosto, joka voi olla haittaohjelma.

------------------------------------------KIRJE-------------------------------------------------

TÄMÄ KIRJE EI TULE KLARNASTA

ÄLÄ KLIKKAA linkkiin. Tämä on ansa.

Ansan tarkoitus on varastaa henkilö- ja pankkitietosi, sekä puhelinnumerosi.
Avaat vrkkorikolliselle pääsyn pankkitilillesi.
Näitä saapuu nyt eri osoitteista. Kyseessä on sama ansa.

-------------------------------------KIRJE------------------------------------------

VERONPALAUTUS BELGIASTAKO?

Tämän ansan havaitsee helposti, kun muistaa katsoa, mistä osoitteesta "veronpalautus" on saapumassa.
Ääkkösetkin on huijarilta usein hukassa, kuten tässäkin tapauksessa.

Tuo 24 tunnin kiire kuuluu huijauskirjeisiin. Pitää luoda kiire, jotta uhri ei ehdi tarkistamaan kirjeen oikeellisuutta.

Molemmissa kirjemuodoissa on vaarallinen linkki: "https://thewelcomewizard. be/c11a2ff12ddc8792aa61922266c2c21fc11a2ff12ddc8792aa61922266c2c21f"
FalconSandbox virustorjunta kertoo linkistä: "Recently registered domain detected. Details: Recently Registered domain: "thewelcomewizard. be" (49 days old). Commonly seen with phishing or other suspicious domains"  Linkin takana odottaa henkilötietojsi ja pankkitietosi varastava lomake.                                                                                      

------------------------------------------------KIRJE---------------------------------------------

SAMA KIRJE HTML EDITORISSA TARKASTELTUNA

Kirjeessä oli lähdekoodissa näkyvä Base64 koodattu PNG-tiedosto, jollaisesta ansasta edellisessä kirjeessä varotettiin. Vaikka PNG ei itsessään ole vaarallinen, siinä saattaa olla vaarallinen linkki sisäänkoodattuna. Kuva on koodattu Base64 koodilla, joten dataan voidaan piilottaa vaarallista koodia.
Tästä tekniikasta Falcon Sandbox kertoo: "Hyökkääjät voivat käyttää hämärrettyjä tiedostoja tai tietoja piilottaakseen koneeseen tunkeutumisen estävän analyysin. Tiedostojen tai tietojen hämärtäminen/dekoodaaminen" kyseessä olisi "Puolustuksen ohittaminen".

EPÄILYTTÄVÄ LOGOMATTOJEN KAUPPIAS

Kaikesta näkee, että kirjeen on tuottanut joko lapsi tai muuten puolitaitoinen.
Falcon Sandbox varoittaa kirjeessä olevan kuvan osoitteesta: Kuvan linkki oli todettu vaaralliseksi. LINKKI: https://mcusercontent. com/  "Sample was identified as malicious by at least one Antivirus engine: Details 1/91 Antivirus vendors marked sample as malicious (1% detection rate)".  

"logomat. group osoitteesta varoitetaan myös:  "Malicious domain detected. Details: SUBMITTED URL: "http://logomat. group/" contacted related malicious domain: "logomat. group".

Vastaava firma kyllä löytyy mutta tämän kirjeen linkkien, tai sähköpostiosoitteen kautta ei ole mitään syytä lähteä tilaamaan logomattoja.
Viestissä oleva PNG-kuva voi toimia linkkinä vaaralliselle verkkosivustolle.
Tässä tapauksessa tuo PNG kuva (linkin päässä) oli poistettu palvelimelta, joten se oli ollut ilmeisen haitallinen, vaikka PNG kuva normaalisti ei vaarallinen olisikaan.

 -----------------------------------------KIRJE-TXT muodossa--------------------------------------------

 

SAMA KIRJE HTML EDITORISSA
Kirje on luultavasti kirjoitettu jossakin tekstiunkäsittelyohjelmassa, joka ei osaa koodata HTML muodossa scandeja. Tämä on yleinen vika haittaposteissa.

EPÄLUOTETTAVAT PELISIVUT

Tämä kirje piiloutuu norjalaisen pelikasinon nimen taakse. "norgecasino. com" sivuilta on varastettu kuva huijauskäyttöön.  Domannimi (osoite) paljastui vietnamilaiseksi.

"CASINOVA"
Linkiin piilotettu IP osoite: 103.82.38.147 vie Vietnamilaiselle koneelle.
VIETNAM POSTS AND TELECOMMUNICATIONS GROUP (VN)
Kone on verkon mustalla listalla."On DNS Blacklist. Checked 20 DNSBL listings Yes".

PELISIVUT: Lähettäjän osoite "belizeecotoerism. com" On listattu EPÄILYTTÄVÄKSI.
"Suspicious domain detected. Details: Input URL or Contacted Domain: "belizeecotoerism. com" has been identified as suspicious".

Näillä taustatiedoilla ei voi päätyä muuhun lopputulokseen, kuin että sivusto on VAARALLINEN. 

Yhdellekään sivulle, joilla liikkuu raha, ei ole syytä kirjautua tai edes klikata linkkiä. Sivujen luotettavuus on ensin selvitettävä. Pelisivumainoksilla kupataan rahat pois herkkäuskoisilta.

-------------------------------------KIRJE HTML EDITORISSA-----------------------------------------

------------------------------------------KIRJE TXT MUODOSSA------------------------------------------

TÄMÄ SAMA ANSAKIRJE SAAPUI MYÖS TOISESTA OSOITTEESTA "btmo. nl"
Myös tämä soite on todettu haitalliseksi.
Abuse IPDB Recent Reports: "We have received reports of abusive activity from this IP address within the last week. It is potentially still actively engaged in abusive activities."   

KIRJEEN LINKIT VIEVÄT SAMALLE vietnamilaiselle koneelle.
Peräkkäisissä ansakirjeisä  pyritään otsakkeessa ja teksteissä tekemään muutoksia, jotta ne eivät jäisi haittapostisuodattimiin.

TUHANSIEN KANAVIEN HUIJAUS

ÄLÄ MENE LANKAAN! Se tulee kalliiksi.
Kirje on luokiteltu jo palveluntarjoajani toimesta "spammiksi".  "auto-zone. cloud" osoitetta ei löydy verkosta. 
Tarkastelin edelleen lähdekoodia ja sieltä löytyy ansaosoite (https://www.xn--c1ady.xn--b1afiaiu9e. xn--p1acf/AHojvlnj/), sekä Base64 koodista löytyy mainonnallinen kuva (alinna). Tuotenimi on peitetty, jotta uhri ei pääse etsimään todellista tietoa tuotteesta. 

Falcon Sandbox virus scannaus kertoo, että koodiin piilotettu linkki on vaarallinen:
"Malicious domain detected. Details: CONTACTED DOMAIN: "point-experts. com" has been identified as malicious". Domainin takaa löytyy useita kuvakaappauksia eri tuoitteiden sivuilta, eli kyseessä vaikuttaa olevan teollisen tason huijari.                                                                                       

Sitäpaitsi. En ole Pirjo Makkonen, tai kukaan muukaan tarjotuista vastaanottajista. Kyseessä on varastetulla sähköpostilistalla lähetetty huijaus.

-----------------------------------------KIRJE--------------------------------------------